Nadie monta un negocio porque le entusiasmen los banners de cookies. Pero si tienes una web con cualquier tipo de actividad económica en España, hay unas cuantas casillas legales que cumplir, y la mayoría de webs de pequeños negocios falla al menos en una.
La buena noticia: la lista es corta, es casi todo trabajo de una sola vez y nada es complicado cuando te lo explican sin lenguaje de abogado. Esto es lo que necesita tu web y cómo revisar la tuya en unos diez minutos.
Esto es información general para que sepas qué mirar, no asesoramiento legal. Si manejas datos sensibles o vendes online en volumen, que te revisen la configuración en condiciones.
1. Aviso legal
La LSSI-CE obliga a cualquier web que realice actividad económica a identificar quién está detrás. No escondido y no opcional. Tiene que ser accesible desde cualquier página, normalmente con un enlace en el pie, e incluir:
- Tu nombre o la denominación social, y tu NIF o CIF.
- Tu domicilio.
- Una vía de contacto que funcione, normalmente un email.
- Datos del registro mercantil si eres sociedad, y los del colegio profesional si ejerces una profesión regulada.
Es el requisito que más se salta la gente que trabaja como autónomo, normalmente por no querer poner su dirección online. Sigue siendo obligatorio si estás ejerciendo actividad.
2. Una política de privacidad que se corresponda con la realidad
Desde el momento en que tu web recoge un nombre, un email, un teléfono o una IP para analítica, se aplican el RGPD y la LOPDGDD. Tu política de privacidad tiene que decir, en lenguaje claro:
- Quién es el responsable de los datos (tú) y cómo contactarte.
- Qué datos recoges y para qué.
- Tu base legal, por ejemplo el consentimiento para una newsletter o la ejecución de un contrato para una obra.
- Quién más los ve. Sé honesto: tu proveedor de hosting, tu herramienta de correo, Google Analytics, tu CRM.
- Cuánto tiempo los conservas.
- Sus derechos: acceso, rectificación, supresión, oposición y el derecho a reclamar ante la AEPD.
El fallo habitual no es no tener política, es tener una plantilla copiada que describe otro negocio. Si la tuya menciona servicios que no ofreces u omite las herramientas que de verdad usas, no está cumpliendo su función.
3. Un banner de cookies que cumpla de verdad
Aquí es donde falla casi todo el mundo, y las reglas se han endurecido. La AEPD actualizó su guía de cookies con fecha límite de adaptación el 11 de enero de 2024, y lo esencial es:
- Rechazar tiene que ser tan fácil como aceptar. Un clic cada uno. Si tu banner tiene un botón grande de "Aceptar" y el rechazo está escondido en un menú de configuración, eso es un incumplimiento.
- Las dos opciones deben verse igual. Misma prominencia, misma altura, sin poner "Rechazar" pequeño, gris o con poco contraste.
- Ninguna cookie no esencial antes del consentimiento. Las etiquetas de analítica y publicidad no pueden lanzarse hasta que la persona acepte. Este es el que pilla a todo el mundo sin enterarse: el banner parece correcto, pero Google Analytics ya se había cargado.
- Seguir navegando no es consentimiento. Ni hacer scroll.
- Se debe poder cambiar de opinión después, así que deja una forma de volver a la configuración de cookies.
Para que te hagas una idea, los incumplimientos de cookies e información en España han venido sancionándose desde unos 10.000 euros y hasta 150.000 euros en los casos más graves, y el RGPD tiene topes teóricos mucho más altos. Nadie va a cerrar una panadería de barrio a base de multas, pero es un terreno con historial real de sanciones.
4. Formularios que recogen datos de forma legal
Tu formulario de contacto necesita tres cosas: una frase clara de qué vas a hacer con los datos, un enlace a tu política de privacidad y, cuando te bases en el consentimiento, una casilla que no venga marcada. El silencio no es consentimiento. Y si piensas mandar comunicaciones comerciales más adelante, necesitas consentimiento para eso específicamente, no solo permiso para responder a la consulta.
Si vendes online, hay más
Vender añade condiciones de contratación, precios claros con impuestos y envío, información sobre el derecho de desistimiento de 14 días para consumidores y los detalles de pago y devoluciones. Si ese es tu modelo, merece una revisión en condiciones y no un checklist.
Revisa tu propia web en diez minutos
- Abre tu web en una ventana de incógnito y mira el pie. ¿Hay enlaces a aviso legal, política de privacidad y política de cookies?
- ¿El banner de cookies ofrece rechazar de forma igual de evidente y rápida que aceptar?
- Pulsa rechazar y comprueba si la analítica se sigue cargando. Si no lo tienes claro, este es el punto por el que preguntar.
- Lee tu política de privacidad como si fueras un cliente. ¿Describe tu negocio real y tus herramientas reales?
- Mira tu formulario de contacto. ¿Hay enlace a privacidad y la casilla de consentimiento está sin marcar por defecto?
Si has encontrado fallos, estás en la mayoría. Casi todo esto es una tarde de trabajo, y es algo que debería venir de serie con una web profesional. En las webs que hacemos viene incluido, con la gestión del consentimiento montada bien y no puesta con pinzas. Y ya que estamos, el mismo cuidado aplica a cómo escribes a tus clientes: lo tienes en nuestra guía sobre usar WhatsApp en tu negocio.
Preguntas frecuentes
¿Es obligatorio el banner de cookies?
Si tu web usa cookies no esenciales, y eso incluye analítica y publicidad, sí: necesitas un banner de consentimiento que cumpla. Una web con solo cookies estrictamente necesarias no necesita banner de consentimiento, pero sí explicarlas.
¿Puedo usar una plantilla de política de privacidad?
Una plantilla es un punto de partida razonable, pero hay que adaptarla a tu negocio, tus datos y tus herramientas. Una plantilla sin tocar que describe una tienda cuando tú eres fontanero es peor que nada, porque queda por escrito que dices algo que no es cierto.
¿Necesito aviso legal si no vendo online?
Sí. La obligación se aplica a las webs con actividad económica, no solo a las tiendas online. Si tu web promociona un negocio, tiene que identificar quién lo lleva.
¿Y Google Analytics?
La analítica no es una cookie esencial, así que solo puede cargarse después de que la persona acepte, y debes mencionarla en tus políticas de privacidad y cookies. Cargarla al entrar es uno de los fallos de cumplimiento más habituales que vemos.
¿De verdad me pueden multar siendo autónomo?
Las normas se aplican sin importar el tamaño, y la AEPD ha sancionado a pequeños negocios y a particulares. En la práctica, las denuncias suelen venir de un competidor o de un visitante molesto más que de una inspección aleatoria, que es justo por lo que merece la pena tenerlo en orden.
Esto no va de meter miedo, va de no tener un problema evitable dentro de tu web. Si quieres la tuya con lo legal bien resuelto desde el primer día, echa un vistazo a nuestras webs o solicita una consulta gratuita.